Ошибка при загрузке Blacklist
-
:) Теперь скачал. Жду завершения.
-
Проблемы в настройке DNS на самом pfSense.
-
Сталкивался с похожей ситуацией c DNS.
2.1 прекарасно раздавал интернет пользователям, но обновлений в дашбоард проверить не мог.
Помогло в Services->DNS forwarders
Переключиться в Interfaces на ALL
-
В System: General Setup поставил галочку "Do not use the DNS Forwarder as a DNS server for the firewall"
в Services: DNS forwarder - в Interfaces переключил с "LAN" на "All"С http://urlblacklist.com/cgi-bin/commercialdownload.pl?type=download&file=bigblacklist скачал без ошибок.
-
В System: General Setup поставил галочку "Do not use the DNS Forwarder as a DNS server for the firewall"
Может я ошибаюсь, но сиим действием вы отключили использование адреса LAN-интерфейса pfsense в кач-ве сервера имен.
в Services: DNS forwarder - в Interfaces переключил с "LAN" на "All"
После вышеописанного действия - какой смысл? Да еще и дыра в безопасности, ибо теперь и WAN-интерфейс будет использоваться в кач-ве DNS Forwarder-а. И далеко не только Вами 8)
Не зря там LAN стояло. -
Проверил работу фильтру SquidGuard - доступ к определенным сайтам все равно не закрывает.
Пожалуй, верну обратно первоначальные настройки: "Do not use the DNS Forwarder as a DNS server for the firewall" и Services: DNS forwarder - в InterfacesСделал скрин Status: Dashboard (DNS server(s))
-
Проверил работу фильтру SquidGuard - доступ к определенным сайтам все равно не закрывает.
Правило Сквидгварда покажите. С вероятностью 99 и 9 в периоде % оно у вас неверно написано. Ибо у меня правила закрывают всё что нужно - главное разобраться в написании.
-
-
Какие сайты вы хотите прикрыть ? И вы точно уверены, что они присутствуют в блэклисте?
P.s. Прокси у вас в прозрачном режиме работает? Или явно указывается?
-
Например, vk.com. В скачанном архиве bigblacklist.tar.gz он есть в папке "social_networks"
У пользователей прокси указываем в "Свойствах обозревателя" - 192.168.1.2:8080 -
В скачанном файле те же vk.com, vk.me и т.д. после импортирования попадают в раздел Domains list, у меня же все отлично блокируется, если я адреса соц. сетей размещаю в Expressions. Попробуйте и вы.
И еще - в правилах этого списка оч. много ip-адресов в чистом виде - это лишнее ибо решается установкой одной галки и при этом напрочь блокируется обращение пользователей к ресурсам чисто по айпишникам (а не по именам).
После изменения правил сквидгварда не забываем жать Apply!
-
Не совсем понял, где Domains list и Expressions
-
Proxy filter - > Target categories
-
Понял, завтра попробую на работе.
-
Понял, завтра попробую на работе.
Настройте удаленный доступ и пользуйте уже сегодня и всегда :)
-
Нет. Сайты не блокирует.
Не могу понять, где настроено не правильно -
а "deny" на социал поставил? в
Proxy filter SquidGuard: Common Access Control List -
:oнет
поставил - также не блокирует
-
А Apply нажали ? А точно сквид не в транспаренте работает?
Скрин настроек самого сквида покажите.
-
Apply нажимал.
второй вопрос не понял.
-
Хм, интерсует скрин настроек Squid - не Squidquard.
Далее, зачем стоят галки на Enable LDAP filter и Strip NT domain ? Вы используете LDAP?
-
Эти галки сам не ставил, не могу ответить.
![Squid1 (2).jpg](/public/imported_attachments/1/Squid1 (2).jpg)
![Squid1 (2).jpg_thumb](/public/imported_attachments/1/Squid1 (2).jpg_thumb)
![Squid2 (2).jpg](/public/imported_attachments/1/Squid2 (2).jpg)
![Squid2 (2).jpg_thumb](/public/imported_attachments/1/Squid2 (2).jpg_thumb) -
… еще скрин
![Squid3 (2).jpg](/public/imported_attachments/1/Squid3 (2).jpg)
![Squid3 (2).jpg_thumb](/public/imported_attachments/1/Squid3 (2).jpg_thumb) -
Ок. А теперь скрин Common ACL Сквидгварда. И правил fw на LAN.
P.s. Зачем вам ГОД хранить логи сквида?! 60-90 дней вполне достаточно. И да, для просмотра логов необходимо установить и настроить Lightsquid - это сделано?
-
Common ACL
LightSquid установлен - просматриваю постоянно "Отчет по использованию интернета, …"
-
1. Common ACL - Target Rules List разверните.
2. По правилам fw на LAN кратко - бред:-
второе правило сверху - зачем оно на LAN ?
-
остальные правила - объясните их суть, т.е. для чего они?
Делаете так - грохаете ВСЕ правила на LAN (кроме первого , к-ое серое, т.с. неактивное). Оставляете одно - второе снизу. Работаете пока с ним - настраиваете сквид etc.
Усиленно ищИте книги по pfsense и сетям в гугле. Советую цикл статей на Хабре - "Сети для самых маленьких". И вникаем, вникаем, вникаем.
-
-
Target rules list
-
Делаете так - грохаете ВСЕ правила на LAN (кроме первого , к-ое серое, т.с. неактивное). Оставляете одно - второе снизу. Работаете пока с ним - настраиваете сквид etc.
Это сделали?
И покажите правила NAT. Вы там ничего не трогали?
-
Пока правила на LAN не трогал - боюсь интернет у пользователей пропадет, у нас сегодня рабочий день.
правила NAT - там тоже ничего не менял.
-
ты как проверяешь? набираешь http:\vk.com или https:\vk.com если набрать https:\vk.com то squidguard пропустит, https закрывается целой кучей ip 87.240.128.0/18 в фаерволе
-
проверял и http://vk.com, и https://vk.com. Оба не блокирует
-
Пока правила на LAN не трогал - боюсь интернет у пользователей пропадет, у нас сегодня рабочий день.
правила NAT - там тоже ничего не менял.А что этим правилом портфорварда попытались сделать?
1. У пользователей в браузере должен быть прописан прокси (если нет задачи делать прозрачно)
2. На LAN необходимо явно запретить доступ из LAN на * HTTP/HTTPS
3. Убрать это правило портфорварда http://forum.pfsense.org/index.php/topic,70801.msg388629.html#msg388629 -
Пока правила на LAN не трогал - боюсь интернет у пользователей пропадет, у нас сегодня рабочий день.
правила NAT - там тоже ничего не менял.Ув. Artur !
Прислушайтесь к советам, пож-та. Ничего ни у кого не пропадет, а вот то безобразие, к-ое вы накрутили в правилах и рождает ваши проблемы с вероятностью близкой к 100 %.В Port forward - все удаляем. На LAN - одно правило разрешающее всё всем (хотя бы временно).
Покажите правила на WAN и NAT (Outbound) (второй раз прошу, да) . Боюсь и там у вас не все в порядке :(
P.s. В вашем случае я бы перевел сквид в "прозрачный" режим и удалил у пользователей явное задание настройки прокси . Пока не разберетесь как всё работает.
-
скрины
-
Хорошо хоть NAT не трогали :)
По WAN - опять несовсем верно. Объясните ваше первое правило? Да pf WAN ip ваш - если думаете о том , что и я , то он там и так есть - это WAN address. Не надо для него алиас выдумывать.
Короче так - выполняйте те требования что были даны. Потом будем с остальным разбираться.
-
Извините за долгое отсутствие. :)
что сделал: 1) убрал "галки" - "Strip NT domain name", "Enable LDAP Filter", "Block bogon networks"
2) исправил правила, как было указано @werter:… грохаете ВСЕ правила на LAN (кроме первого , к-ое серое, т.с. неактивное). Оставляете одно - второе снизу.
И сайты определенные в squidguard стали недоступны. (vk, facebook, ok)
но blacklist update - ошибка осталась. -
Пришлось вернуть настройки обратно, т.к. перестал работать microsoft Lync
-
перестал работать microsoft Lync
Он у вас внутри сети находится? И вы на него через локальную же проксю ходите?!
-
Он у вас внутри сети находится? И вы на него через локальную же проксю ходите?!
Да.
Связь с другими участниками за пределами локальной сети через интернет -
Туманный ответ на вопрос, однако. Т.е. он не в вашей сети находится ? Добавьте его IP в исключения squid (Bypass proxy for these destination IPs).